Axiosライブラリがサプライチェーン攻撃を受け、攻撃者は盗まれたnpmトークンを悪用してリモートトロイの木馬を挿入。影響を受けたクラウド環境は約80％に上る。

Web3業界の深掘り報道に専念し潮流を洞察

投稿したい

取材依頼

フォローする

リスク提示：本サイトのすべての内容は投資助言ではなく、いかなるシグナル配信・取引勧誘サービスも行いません。中国人民銀行など十部委の「仮想通貨取引投機リスクの防止と処置に関する通知」に基づき、リスク意識の向上をお願いいたします。お問い合わせ / support@techflowpost.com 琼ICP备2022009338号

Axiosライブラリがサプライチェーン攻撃を受け、攻撃者は盗まれたnpmトークンを悪用してリモートトロイの木馬を挿入。影響を受けたクラウド環境は約80％に上る。

2026.04.02 - 05:13

共有先

7x24h 速報

Axiosライブラリがサプライチェーン攻撃を受け、攻撃者は盗まれたnpmトークンを悪用してリモートトロイの木馬を挿入。影響を受けたクラウド環境は約80％に上る。

VentureBeat の報道によると、攻撃者は、JavaScript で最も人気のある HTTP クライアントライブラリ「Axios」の首席メンテナーの npm アクセストークンを盗み出し、このトークンを用いて、macOS、Windows、Linux 各プラットフォームに対応するクロスプラットフォーム型リモートアクセストロイjan（RAT）を含む2つの悪意あるバージョン（`axios@1.14.1` および `axios@0.30.4`）を公開しました。これらの悪意あるパッケージは、npm レジストリ上に約3時間存在した後、削除されました。セキュリティ企業 Wiz のデータによれば、Axios は週間ダウンロード数が1億回を超え、およそ80％のクラウド環境およびコード環境に存在しています。セキュリティ企業 Huntress は、悪意あるパッケージの公開から89秒後に初回の感染を検知し、公開期間中に少なくとも135台のシステムが侵害されたことを確認しました。注目に値するのは、Axios プロジェクトが、OIDC を用いた信頼された公開メカニズムや SLSA によるトレーサビリティ証明といった現代的なセキュリティ対策をすでに導入済みであったにもかかわらず、攻撃者がこれらすべての防御線を完全に回避した点です。調査の結果、プロジェクトは OIDC の設定を実施していたものの、従来型の長期有効な `NPM_TOKEN` を併存させていたことが明らかになりました。npm では、OIDC トークンと従来型トークンが共存する場合、デフォルトで従来型トークンが優先されるため、攻撃者は OIDC を突破することなくパッケージの公開を実行できたのです。

2026.04.02 - 05:13:15

Web3業界の深掘り報道に専念し潮流を洞察

7x24h速報

深潮セレクト

Axiosライブラリがサプライチェーン攻撃を受け、攻撃者は盗まれたnpmトークンを悪用してリモートトロイの木馬を挿入。影響を受けたクラウド環境は約80％に上る。

7x24h 速報

Axiosライブラリがサプライチェーン攻撃を受け、攻撃者は盗まれたnpmトークンを悪用してリモートトロイの木馬を挿入。影響を受けたクラウド環境は約80％に上る。